„DifyTap“: atskleistos „Dify“ spragos leido slapta skaityti svetimus AI pokalbius debesyje

Saugumo tyrimų komanda „Zafran Labs“ birželio 22 d. paskelbė keturių spragų rinkinį, pavadintą „DifyTap“, atvirojo kodo dirbtinio intelekto platformoje „Dify“. Pagrindinė išvada nemaloni visiems, kas AI sprendimus stato debesyje: tam tikromis aplinkybėmis vienas platformos klientas galėjo slapta „pasiklausyti“ kito kliento AI pokalbių ir peržiūrėti svetimus įkeltus failus – nereikalaujant nei aukos slaptažodžio, nei jos sutikimo.

„Dify“ nėra nišinis įrankis. Pagal „Zafran“, platforma turi per 140 000 „GitHub“ žvaigždučių, virš 10 mln. „Docker“ atvaizdo parsisiuntimų ir ja veikia daugiau nei milijonas programų. Tarp naudotojų minimi „Volvo“, „Maersk“, „Panasonic“ ir „Thermo Fisher“, o diegimai apima per 60 pramonės šakų.

Kas yra „Dify“ ir kodėl tiek daug įmonių ją renkasi

„Dify“ – tai atvirojo kodo platforma LLM programoms kurti: vizualioje drobėje galima sudėlioti AI darbo srautus, RAG žinių bazes, agentus ir prijungti dešimtis skirtingų modelių tiekėjų. Idėja paprasta – komandos gali paleisti pokalbių robotus, „copilot“ asistentus ir AI agentus be to, kad nuo nulio rašytų visą orkestracijos logiką.

Platformą galima diegtis pas save (self-hosted) arba naudoti valdomą „Dify Cloud“ versiją. Būtent ši antroji – debesijos, daugiaklientė (multi-tenant) versija – ir yra įdomiausia saugumo požiūriu: skirtingų įmonių darbo srautai, pokalbiai ir dokumentai gyvena toje pačioje bendroje infrastruktūroje, atskirti tik programine logika. Kai ta logika turi spragą, riba tarp klientų tampa pralaidi.

Kaip veikė ataka

Pavojingiausia spraga – CVE-2026-41947 (CVSS 9.1) – yra autorizacijos apėjimas „Dify“ trasavimo (tracing) nustatymuose. Trūko patikrinimo, ar naudotojas tikrai valdo programą, kurią konfigūruoja. Dėl to prisijungęs „redaktoriaus“ teisių turintis naudotojas galėjo įjungti trasavimą bet kuriai programai – net ir priklausančiai kitam klientui – ir nukreipti visus tos programos pranešimus bei modelio atsakymus į savo paties valdomą trasavimo paslaugą.

Praktiškai tai virsta nuolatiniu nutekėjimo kanalu: kiekvienas aukos vartotojo klausimas ir kiekvienas AI atsakymas tyliai keliauja į užpuoliko serverį. Kalbame ne apie metaduomenis, o apie patį pokalbių turinį – tai, ką galutiniai vartotojai rašo „nekaltam“ įmonės pokalbių robotui.

Tai ne vienintelė problema. Spraga CVE-2026-41950 (CVSS 6.5) leido prisijungusiam naudotojui perskaityti kitų to paties kliento naudotojų įkeltų failų turinį – tiesiog nurodžius failo UUID. „Zafran“ taip pat parodė, kaip iš neautentifikuotų užklausų galima pasiekti vidinį „Plugin Daemon“ API ir peržiūrėti kitų klientų įkeltus dokumentus. Iš viso: dvi spragos buvo kritinės, dvi visiškai nereikalavo prisijungimo, o trys turėjo poveikį tarp skirtingų klientų (cross-tenant).

Bendra architektūra – ir jos silpnoji vieta

„DifyTap“ atvejis gerai iliustruoja, kodėl daugiaklientės AI platformos yra tokios jautrios: visi komponentai – orkestracijos sluoksnis, RAG kanalas, modelių maršrutizatorius, įskiepiai – dalijasi ta pačia vykdymo aplinka.

Kai vienas tenant atskyrimo patikrinimas praleidžiamas viename API gale, užtenka turėti eilinę paskyrą, kad būtų pasiektas svetimas turinys. Tai nėra vien „Dify“ problema – tai struktūrinė rizika kiekvienoje platformoje, kur „pasidaryk pats AI agentą“ patogumas pastatytas ant bendros debesijos.

Pataisymai ir laiko juosta

Atskleidimas nebuvo staigmena tiekėjui. Pagal „Zafran“, pirmoji spraga užfiksuota dar 2025 m. gruodžio 14 d., paskutinis CVE paskelbtas 2026 m. gegužės 18 d. Versijoje 1.14.2 (išleista gegužės 19 d.) ištaisytos visos spragos, išskyrus CVE-2026-41948 (CVSS 9.4) – jos pataisa sujungta „GitHub“, bet į stabilų leidimą dar nepateko.

Verta priminti, kad tai jau ne pirmas „Dify“ saugumo signalas šį pavasarį. Gegužę „Imperva“ tyrėjai aprašė atskirą spragų porą: „vieno paspaudimo“ paskyros perėmimą per SVG failus (SVG gali turėti įterptą „JavaScript“, o įkėlimo ir programų subdomenai dalijosi ta pačia kilme) bei kitų klientų pirminio kodo nutekėjimą iš „dify-sandbox“ paslaugos. Tos problemos buvo užtaisytos 1.13.x serijoje.

Ką tai reiškia Lietuvos verslui

Vis daugiau Lietuvos įmonių ir startuolių klientų aptarnavimo botus, vidinius asistentus ar dokumentų paiešką stato būtent ant tokių „low-code“ AI platformų – nes tai greita ir pigu. „DifyTap“ primena keletą nemalonių tiesų:

• Daugiaklientis debesis = bendra rizika. Net jei jūsų konfigūracija nepriekaištinga, kito kliento ar pačios platformos spraga gali atverti jūsų duomenis. Vertinant tiekėją, atskyrimo (tenant isolation) klausimas turi būti sutartyje, ne tik rinkodaros skaidrėje.
• AI pokalbiai – tai jautrūs duomenys. Tai, ką klientai rašo botui, dažnai apima asmens duomenis ar komercines paslaptis. BDAR požiūriu toks nutekėjimas yra incidentas su realiomis pasekmėmis.
• Self-hosted nereiškia „saugu pagal nutylėjimą“. Jei diegiatės „Dify“ ar panašią platformą patys – atnaujinkite bent iki 1.14.2, sekite likusios spragos pataisą ir neatidarykite administracinių sąsajų į viešą internetą.
• Tiekimo grandinė tęsiasi į AI įrankius. Po „Mastra“ npm atakos ir „LiteLLM“ spragos „DifyTap“ yra dar vienas ženklas: AI orkestracijos sluoksnis tapo pilnaverčiu atakos paviršiumi, kurį reikia stebėti taip pat rimtai kaip ir patį modelį.

Gera žinia – dauguma spragų jau ištaisytos, o „Dify“ reagavo per atsakingo atskleidimo procesą. Bloga žinia ta, kad tūkstančiai senesnių, neatnaujintų diegimų vis dar veikia. Kaip ir su daugeliu atvirojo kodo įrankių, saugumas čia – ne vienkartinis įdiegimas, o nuolatinis atnaujinimų sekimas.